Критические уязвимости PHP пытались использовать за несколько дней до выхода патча
Команда безопасности Amazon зафиксировала попытки эксплуатации двух критических уязвимостей языка программирования PHP ещё до публикации исправления. В PHP Foundation заявляют, что об успешном удалённом выполнении кода неизвестно, и призывают срочно обновить системы.
Amazon Threat Intelligence, подразделение Amazon по изучению киберугроз, сообщает, что хакеры пытались использовать две критические уязвимости в PHP — широко применяемом языке веб-программирования — за несколько дней до выхода патча. Об этом пишет технологическое издание The Verge. Уязвимости затрагивают сайты по всему интернету, в том числе работающие на системе управления контентом WordPress.
В среду сайты спешно устанавливали исправление для уязвимостей CVE-2026-109618 и CVE-2026-109619. Они могут позволить злоумышленникам удалённо выполнять вредоносный код на уязвимых устройствах.
Что обнаружили в Amazon
Директор Amazon по информационной безопасности CJ Moses пишет, что команда компании 17 октября с помощью ханипота — системы-приманки для хакеров — выявила попытку эксплуатации PHP2Shell. Ещё несколько попыток были зафиксированы 21 октября, за несколько часов до выхода патча.
Моузес отмечает, что ханипот атаковали с анонимизированного IP-адреса, что указывает на действия злоумышленника. По-прежнему неясно, как он получил информацию об уязвимости, пока она находилась под эмбарго.
Объяснение PHP Foundation
PHP Foundation, организация, поддерживающая развитие PHP, теоретически описала проблему ещё в 2024 году. Её команда безопасности предложила возможные решения, однако исправление задержали из-за нарушений обратной совместимости, новых возможностей для атак типа «отказ в обслуживании» или необходимости менять множество сторонних расширений, что казалось невозможным согласовать.
Когда исправление готовили к выпуску, подробности об ошибках начали появляться на форумах и в соцсетях, а некоторые компании по безопасности опубликовали сведения до официального релиза.
Исполнительный директор PHP Foundation Элизабет Баррон сообщила The Verge, что, насколько известно организации, успешных попыток удалённого выполнения кода не было, но обновление затронутых систем крайне необходимо. Фонд также заявил, что меняет процессы, чтобы сложные уязвимости быстрее доходили до руководства и устранялись оперативнее.
